Aktywnie wykorzystywana w atakach
ThinkPHP Remote Code Execution Vulnerability
ThinkPHP - ThinkPHP · Figuruje w katalogu CISA KEV od 2021-11-03. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2019-9082
WysokieCVSS 8.8KEVStreszczenie
ThinkPHP przed wersją 3.2.4, używany w Open Source BMS v1.1.1 i innych produktach, umożliwia zdalne wykonanie poleceń poprzez public//?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]= po którym następuje polecenie.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia systemowe na serwerze, co może prowadzić do pełnego przejęcia systemu.
Rekomendacja
Zaktualizuj ThinkPHP do wersji 3.2.4 lub nowszej, która zawiera poprawkę.
Inne podatności w ThinkPHP
Zobacz wszystkie- CVE-2025-63888Krytyczne
Funkcja read w pliku thinkphp\library\think\template\driver\File.php w ThinkPHP 5.0.24 zawiera podatność na zdalne wykonanie kodu.
- CVE-2024-44902Krytyczne
Podatność deserializacji w ThinkPHP w wersjach od 6.1.3 do 8.0.4 umożliwia atakującym zdalne wykonanie dowolnego kodu. Problem wynika z niebezpiecznego przetwarzania danych wejściowych podczas deserializacji.
Oryginalny opis (angielski, źródło NVD)
ThinkPHP before 3.2.4, as used in Open Source BMS v1.1.1 and other products, allows Remote Command Execution via public//?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]= followed by the command.